In un mese succedono molte cose. Qui ci sono solo quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, divise per tema. Dove abbiamo già scritto un articolo trovi il link, con i dettagli e cosa fare.

Qual è stato il tema del mese?

Le scadenze di inizio anno, vere o inventate. A gennaio tutti hanno qualcosa da rinnovare o da dichiarare. Un messaggio che parla di una scadenza sembra normale. Ma se arriva con un link e chiede la carta, il codice fiscale o la password, è quasi sempre un’esca.

  • Svizzera, 6 gennaio, la vignetta: la vignetta del 2025 valeva fino al 31 gennaio. L’Ufficio federale della cibersicurezza (UFCS) segnala email false che dicono che la vignetta elettronica del tuo veicolo è «bloccata» per un problema di fatturazione e chiedono di aggiornare i dati di pagamento. Il pericolo arriva anche dai motori di ricerca: annunci sponsorizzati in cima ai risultati portano a negozi falsi, identici a quello vero. E ci sono rivenditori che consegnano una vignetta valida, ma a un prezzo più alto dei 40 franchi ufficiali. Lo stesso trucco imita il sito austriaco della vignetta, utile da sapere se attraversi l’Austria.
  • Ticino, 7 gennaio: l’ACSI, l’associazione dei consumatori della Svizzera italiana, rilancia l’avviso dell’Ufficio federale della dogana e della sicurezza dei confini (UDSC): la vignetta elettronica si compra solo nel negozio online ufficiale, costa esattamente 40 franchi e l’UDSC non chiede mai di confermare i dati di pagamento via email.
  • Italia, 14 gennaio, la tessera sanitaria: l’Agenzia delle Entrate avverte di email a nome del Ministero della Salute che chiedono di sostituire la tessera «in scadenza» su un sito falso. Il CERT-AGID ha visto la stessa campagna per tutto il mese, e in alcuni casi una seconda pagina che chiedeva anche la carta.
  • Svizzera e Italia, le criptovalute: il 7 gennaio l’Agenzia delle Entrate segnala una nuova versione del falso sito per la «dichiarazione delle criptovalute», già visto a novembre (lo trovi nella rassegna di novembre), con una scadenza inventata, che alla fine chiede i dati del portafoglio cripto. Il 14 gennaio la polizia cantonale di Zurigo descrive un’email in stile istituzionale svizzero, con stemma, che parla di un «obbligo di registrazione» delle attività cripto «dal 2025». Il modulo chiede nome, data di nascita, IBAN, telefono e i dati dei conti cripto: dati che servono a preparare truffe su misura.
UFCS, Settimana 1: contrassegno elettronico, attenzione al phishing e alle offerte ingannevoli ACSI, attenti anche con l'acquisto delle vignette autostradali elettroniche UDSC, contrassegno elettronico: acquisto e avviso sulle frodi online Agenzia delle Entrate, avviso del 14 gennaio 2026 sulla tessera sanitaria CERT-AGID, campagne malevole della settimana 10-16 gennaio Agenzia delle Entrate, avviso del 7 gennaio 2026 su rimborsi IRPEF e dichiarazione delle criptovalute Cybercrimepolice.ch, falsa registrazione delle criptovalute (in tedesco)

Anche i rimborsi sono tornati, come ogni inizio d’anno: il 2 gennaio l’Agenzia delle Entrate ha segnalato un finto rimborso dell’IVA per le imprese, che all’ultimo passaggio chiede la carta «per accreditare il rimborso», e il 7 gennaio il solito finto rimborso IRPEF.

Agenzia delle Entrate, avviso del 2 gennaio 2026 sui rimborsi IVA

Cosa è successo in Svizzera?

La truffa del CEO è tornata, anche con la voce clonata. Gli account Instagram rubati hanno venduto finti investimenti agli amici. E qualcuno ha manipolato i risultati di Google di siti veri.

  • Truffa del CEO (27 gennaio): l’UFCS ricorda che i casi segnalati sono passati da 719 nel 2024 a 971 nel 2025. Lo schema: un’email che sembra del direttore, da un indirizzo con una lettera sbagliata, chiede un bonifico urgente all’estero o l’acquisto di carte regalo. Ora arriva anche via WhatsApp o al telefono, a volte con una voce imitata dall’IA. A volte compare un finto avvocato, con il nome di uno studio svizzero vero. Il caso del Canton Svitto, con diversi milioni di franchi persi con telefonate e messaggi vocali falsi, l’abbiamo raccontato in Truffa del CEO con la voce clonata a Svitto, con il testo da inserire nella procedura dei pagamenti.
  • L’amico che consiglia le criptovalute (13 gennaio): l’UFCS ha ricevuto più segnalazioni di account rubati, soprattutto su Instagram. I criminali entrano con un finto concorso («puoi votarmi?») che porta a una pagina di accesso falsa, oppure chiedendoti il codice arrivato per SMS «perché l’amico è rimasto bloccato». In realtà è il codice per cambiare la tua password. Poi pubblicano storie a nome tuo che promuovono investimenti in criptovalute, a volte con video falsi in cui sembri tu.
  • Risultati di Google manipolati (20 gennaio): l’UFCS descrive siti veri modificati di nascosto. Se ci arrivi da Google ti mandano su una pagina truffa; se scrivi l’indirizzo direttamente vedi il sito normale. Per questo il titolare non se ne accorge. Il segnale: sotto il titolo corretto, nei risultati, compaiono descrizioni strane o senza senso.
UFCS, Settimana 4: «Versamento urgente», la truffa del CEO torna alla carica delle PMI UFCS, Settimana 2: furto d'identità sui social media e consigli sulle criptovalute UFCS, Settimana 3: quando gli hacker si danno all'ottimizzazione dei motori di ricerca

Un codice che arriva per SMS serve a dimostrare che sei tu: non si gira a nessuno, nemmeno a un amico. Contro il furto dell’account la difesa principale, dice l’UFCS, è la verifica in due passaggi, meglio con un’app che con l’SMS, più i codici di riserva stampati e conservati in un luogo sicuro. Come sceglierla in Verifica in due passaggi: SMS, app o chiave?. Il nostro consiglio: se hai un sito, cerca ogni tanto il suo nome su Google e guarda le descrizioni. L’UFCS consiglia di aggiornare il programma del sito, di proteggere l’accesso di amministrazione con la verifica in due passaggi e di limitarlo agli indirizzi di chi lo gestisce.

Le email false della settimana. Su cybercrimepolice.ch la polizia cantonale di Zurigo pubblica i casi che le segnalano i cittadini. A gennaio, oltre alle criptovalute:

  • 7 gennaio: email a nome di AXA con oggetto «Rimborso», valido «solo per sette giorni». La pagina falsa chiede accesso, dati personali e carta, e a volte prova a prendere anche il codice SMS.
  • 21 gennaio: siti di prenotazione falsi per case vacanza, costruiti copiando foto e testi di annunci veri, spesso a prezzi bassi. Chiedono un anticipo; all’arrivo la prenotazione non esiste. La polizia consiglia di cercare la stessa casa su una piattaforma conosciuta e di prenotare solo lì.
  • 28 gennaio: email che imitano Microsoft 365 e dicono che il pagamento dell’abbonamento non è andato a buon fine. La pagina chiede password, dati personali, carta e poi un codice SMS, che serve ai truffatori per entrare nell’account.
Cybercrimepolice.ch, false email di rimborso a nome di AXA (in tedesco) Cybercrimepolice.ch, falsi siti di prenotazione per case vacanza (in tedesco) Cybercrimepolice.ch, falso avviso di sicurezza di Microsoft 365 (in tedesco)

E in Italia?

Multe false ogni settimana, SPID e INPS nel mirino, PEC usate per truffare, WhatsApp rubati e due decisioni del Garante utili alle aziende.

Il CERT-AGID, il centro dell’Agenzia per l’Italia digitale che segue le campagne malevole, ne ha analizzate fra 63 e 97 a settimana in Italia. I temi che tornano:

  • Multe false: 57 campagne in quattro settimane, tutte via email e a nome di PagoPA, con la solita multa stradale «non pagata». Come riconoscerle: la multa falsa a nome di PagoPA.
  • SPID: il 21 gennaio l’Agenzia delle Entrate segnala email che invitano a entrare nell’area riservata. La pagina falsa ha già il tuo indirizzo email scritto e ti chiede solo la password di SPID, l’identità digitale. A fine mese il CERT-AGID ha visto anche un falso portale SPID con i loghi di AgID, che chiedeva IBAN e banca.
  • INPS (24-30 gennaio): su segnalazione dell’INPS, il CERT-AGID descrive una nuova versione del falso sito sulle «erogazioni statali». Ora chiede di caricare il CUD, la certificazione dei redditi, e di scrivere datore di lavoro, data di assunzione e tipo di contratto: dati utili per rubarti l’identità.
  • Email «della polizia»: il 20 gennaio la Polizia Postale avverte di email che imitano le sue comunicazioni, con accuse generiche e una scadenza minacciosa per rispondere. Il CERT-AGID ha visto anche una pagina con il nome della Polizia di Stato che chiedeva la password dell’email.
CERT-AGID, campagne malevole della settimana 3-9 gennaio CERT-AGID, campagne malevole della settimana 17-23 gennaio CERT-AGID, campagne malevole della settimana 24-30 gennaio Agenzia delle Entrate, avviso del 21 gennaio 2026 sulle credenziali SPID Polizia Postale, e-mail fraudolente che usano il nome della Polizia Postale

PEC e WhatsApp. L’8 gennaio la Polizia Postale ricorda una cosa che molti non sanno: anche una PEC, la posta elettronica certificata, può essere una truffa. Il fatto che arrivi per PEC non garantisce che il contenuto sia vero, soprattutto se parla di fatture in scadenza o «ultime comunicazioni». I segnali sono in Falsa fattura via email o PEC. Il 12 e il 21 gennaio la Polizia Postale segnala account WhatsApp rubati: prima con un messaggio da un contatto che chiede di votare una bambina in un concorso di danza e poi il codice arrivato per SMS, poi con richieste di soldi ai familiari della vittima, inventando un’emergenza. Cosa fare in WhatsApp rubato con il falso concorso.

Polizia Postale, hai ricevuto una PEC con una comunicazione urgente? Polizia Postale, truffe online: falsi messaggi WhatsApp Polizia Postale, truffa «vota ballerina» su WhatsApp

Per chi ha appena aperto la partita IVA (29 gennaio). L’Agenzia delle Entrate segnala lettere cartacee che, secondo l’Agenzia, sembrano arrivare alle nuove partite IVA insieme alle comunicazioni ufficiali. Sono offerte commerciali per l’adeguamento alla privacy (GDPR), con un bollettino già compilato. Il servizio non è obbligatorio, ma pagare il bollettino vale come accettazione del contratto. Lo stesso meccanismo della lettera che sembra una fattura l’abbiamo visto in Svizzera: Fattura SwissNovaChat o SwissNovaCare.

Agenzia delle Entrate, avviso del 29 gennaio 2026 sulle proposte commerciali GDPR

Dal Garante privacy (29 gennaio), due decisioni utili a chi ha dipendenti:

  • La casella di chi se ne va: 40’000 euro di sanzione a una società che, dopo il licenziamento di un amministratore delegato, ha tenuto attiva la sua casella aziendale e ne ha girato le email a un’altra casella per circa due mesi, oltre i 30 giorni previsti dalle sue stesse regole. Le email sono corrispondenza e restano protette. Il nostro consiglio: risposta automatica con il nuovo contatto, tempi decisi prima e scritti, e niente lettura della posta personale.
  • Le auto aziendali: 120’000 euro a una società di sementi che, su indicazione della capogruppo svizzera, registrava viaggi, consumi e stile di guida di cinque dipendenti, anche nei viaggi privati, per dare loro un punteggio mensile.

Nella stessa newsletter c’è una notizia per tutti: da gennaio funziona SegnalaODM, la piattaforma dove segnalare le telefonate commerciali che non rispettano il codice di condotta del telemarketing. Prima va contattata l’azienda che ti ha chiamato; se non risponde, puoi segnalarla.

Garante privacy, newsletter n. 542 del 29 gennaio 2026

Quali notizie arrivano dall’Europa?

I nudi falsi creati con l’IA arrivano davanti alle autorità, e in Spagna cade una rete che usava persone in difficoltà come prestanome.

  • Deepfake, Italia ed Europa (8 e 26 gennaio): l’8 gennaio il Garante privacy ha adottato un avvertimento per chi usa servizi di IA come Grok, ChatGPT o Clothoff per creare immagini da foto o voci di persone vere, fino a «spogliarle» senza consenso. Creare e diffondere questi contenuti senza consenso può essere un reato e una grave violazione dei diritti di chi è ritratto. Il 26 gennaio la Commissione europea ha aperto un’indagine formale su X, la piattaforma su cui gira Grok, per verificare se ha valutato e ridotto i rischi delle immagini sessuali manipolate, comprese quelle che potrebbero coinvolgere minori. Cosa fare se succede fra ragazzi è in Foto di nudo false fra compagni di scuola.
  • Spagna e Germania, Black Axe (9 gennaio): la Polizia nazionale spagnola, in collaborazione con la polizia criminale bavarese e con il supporto di Europol, ha arrestato 34 persone in Spagna. Fanno parte di un’organizzazione criminale attiva in decine di Paesi. Secondo gli investigatori, la rete è responsabile di frodi con danni per oltre 5,9 milioni di euro. Il gruppo reclutava come prestanome persone in difficoltà economica, per far passare i soldi delle truffe sui loro conti. Il nostro consiglio: se qualcuno ti offre un compenso per ricevere e girare bonifici sul tuo conto, ti sta usando come prestanome: rifiuta e segnalalo.
Garante privacy, Deepfake: il Garante avverte, a rischio diritti e libertà fondamentali Commissione europea, indagine su Grok e X secondo il Digital Services Act (in inglese) Europol, 34 arresti in Spagna contro l'organizzazione Black Axe (in inglese)

Tre storie di gennaio sull’intelligenza artificiale le abbiamo già raccontate. Il 14 gennaio un link vero di Microsoft che poteva far parlare troppo Copilot, in L’e-mail che dà ordini al tuo assistente IA. Il 29 gennaio un peluche parlante che lasciava leggere le conversazioni dei bambini, in Giocattoli con intelligenza artificiale: il caso Bondu. E lo stesso giorno, secondo la stampa, un’app di chat con l’IA che aveva lasciato esposte le conversazioni dei suoi utenti, in Chat di ChatGPT e Grok finite su Google.

Quali aggiornamenti non puoi rimandare?

Office e Windows sul computer di casa e dell’ufficio, i vecchi router D-Link e, per le aziende, i firewall Fortinet.

  • Microsoft Office (26 gennaio): Microsoft ha pubblicato fuori calendario la correzione di una falla già sfruttata. Per colpire, il truffatore deve mandarti un file di Office preparato e convincerti ad aprirlo; l’anteprima di Outlook non basta. Con Microsoft 365 e Office 2021 o più recenti la protezione arriva da sola, ma solo dopo aver chiuso e riaperto Word, Excel e Outlook. Con Office 2016 e 2019 serve l’aggiornamento uscito lo stesso giorno: controlla in File, Account, Informazioni su. La CISA, l’agenzia statunitense per la cybersicurezza, l’ha inserita lo stesso giorno fra le falle già usate dagli attaccanti.
  • Windows (13 gennaio): gli aggiornamenti di gennaio correggono anche una falla di Windows già sfruttata, che aiuta un programma già presente sul computer a raccogliere informazioni. Se Windows ti chiede di riavviare, fallo.
  • Vecchi router D-Link (7 e 9 gennaio): CSIRT Italia, il gruppo di risposta agli incidenti dell’Agenzia per la cybersicurezza nazionale, segnala una falla critica, già sfruttata, in alcuni router D-Link DSL: i modelli DSL-526B, DSL-2640B, DSL-2740R e DSL-2780B. D-Link spiega che sono fuori produzione da anni e non ricevono più aggiornamenti. È la stessa famiglia di attacchi che in passato cambiava le impostazioni del router per mandare chi naviga su siti falsi. Guarda il modello sull’etichetta sotto il router: se è uno di questi, va sostituito.
  • Fortinet, per le aziende (27 gennaio): Fortinet conferma un’altra falla, dopo quella di dicembre, nello stesso accesso FortiCloud SSO. È critica, già sfruttata, e tocca i suoi firewall e altri prodotti quando quell’accesso è attivo. FortiCloud SSO si accende da solo quando si registra l’apparecchio, se non lo si disattiva. Il 26 gennaio Fortinet ha sospeso quell’accesso per tutti e il giorno dopo l’ha riattivato solo per chi ha aggiornato. Se in ufficio c’è un firewall Fortinet, chiedi a chi lo gestisce se è aggiornato.
Microsoft, falla di Office CVE-2026-21509 (in inglese) Microsoft, falla di Windows CVE-2026-20805 (in inglese) ACN, CSIRT Italia: vulnerabilità in prodotti D-Link (AL01/260107/CSIRT-ITA) D-Link, avviso SAP10488 sui router DSL fuori produzione (in inglese) Fortinet, avviso FG-IR-26-060 (in inglese) CISA, catalogo delle falle già sfruttate (in inglese)

Dove segnalo una truffa?

Prima in Svizzera, poi in Italia, a seconda di dove vivi o di dove è il tuo conto.

  1. Svizzera: segnala il messaggio, il sito o la chiamata all’UFCS sul modulo online di report.ncsc.admin.ch: bastano pochi minuti, anche dal telefono. Se hai dato i dati della carta o hai pagato, chiama subito la banca per bloccarla, poi telefona alla polizia cantonale per fissare un appuntamento e sporgere denuncia. Le email false si possono anche inoltrare a cybercrimepolice.ch, seguendo le istruzioni sul sito.
  2. Italia: segnala sul sito del Commissariato di PS online della Polizia Postale, alla pagina commissariatodips.it/segnalazioni. Se hai dato la password di SPID, cambiala subito e avvisa il tuo gestore SPID. Se hai pagato, blocca la carta e sporgi denuncia.
  3. Se ti hanno rubato Instagram o WhatsApp: avvisa subito amici e familiari da un altro canale, per esempio con una telefonata o un SMS, così nessuno manda soldi «a te». Poi segui la procedura di recupero dell’app.

Il Metodo 3V applicato al mese

FaseLa lezione di gennaio
Verifica: chi mi scrive davvero?Il direttore, l’amico su Instagram, l’UDSC, il Ministero della Salute, l’Agenzia delle Entrate: il nome, lo stemma e perfino la PEC non provano niente
Validazione: la richiesta ha senso?Un ufficio non ti chiede via email i dati del tuo portafoglio cripto. La vignetta costa 40 franchi. Un amico non ha bisogno del codice arrivato sul tuo telefono
Velocità controllata: chi mi mette fretta?«Vignetta bloccata», «tessera in scadenza», «bonifico urgente e riservato», «rimborso valido sette giorni»: fermati e controlla dal sito ufficiale

Il metodo completo è nel libro «Sicurezza informatica per professionisti» e nella guida al Metodo 3V.

Domande frequenti

Cosa è successo di importante in sicurezza informatica a gennaio 2026?

Tre cose soprattutto. Esche costruite sulle scadenze di inizio anno: vignetta autostradale in Svizzera, tessera sanitaria e dichiarazioni in Italia, finti obblighi di registrare le criptovalute in entrambi i Paesi. Il ritorno della truffa del CEO, anche con la voce clonata dall'IA, come nel caso di Svitto. E una falla di Microsoft Office già sfruttata, corretta il 26 gennaio: chiudi e riapri Office, o aggiornalo.

Mi è arrivata un'email che dice che la mia vignetta elettronica è bloccata: è vera?

Molto probabilmente no. A gennaio 2026 l'UFCS ha segnalato email false che parlano di un problema di fatturazione e chiedono di aggiornare la carta. L'UDSC non chiede mai di confermare i dati di pagamento via email. Per controllare, apri tu via.admin.ch, il negozio ufficiale, scrivendo l'indirizzo. La vignetta costa 40 franchi: se paghi di più, non sei sul sito ufficiale.

Un amico su Instagram mi consiglia un investimento in criptovalute con cui ha guadagnato molto: posso fidarmi?

Prima chiamalo. A gennaio 2026 l'UFCS ha segnalato molti account Instagram rubati che pubblicano, a nome del vero titolare, storie su investimenti in criptovalute, a volte con video falsi creati con l'IA. Se il tuo amico non ne sa niente, il suo account è stato rubato. Non cliccare, segnala il post alla piattaforma e avvisa gli altri amici.

Ho aperto da poco la partita IVA e mi è arrivata una lettera con un bollettino per l'adeguamento al GDPR: devo pagare?

No, non sei obbligato. L'Agenzia delle Entrate ha segnalato a gennaio 2026 lettere di un'azienda privata che sembrano arrivare alle nuove partite IVA insieme alle comunicazioni ufficiali. Il servizio offerto è facoltativo, e pagare il bollettino vale come accettazione del contratto. Se hai dubbi su una lettera, controlla il mittente e chiedi al tuo commercialista prima di pagare.

Gennaio è il mese in cui si mette ordine, e conviene farlo anche con quello che non si aggiorna più. Prenditi dieci minuti questa settimana: guarda il modello del router, la versione di Office e il telefono più vecchio di casa, e controlla sul sito del produttore se ricevono ancora aggiornamenti. Quello che non li riceve va sostituito con calma, prima che diventi un’urgenza. Cosa è successo dopo lo trovi nella rassegna di febbraio.